⚠️ Avvertenze etiche e legali Questo strumento è solo per test di sicurezza legittimi e autorizzati — pentest su contratto, lab/CTF o asset di propria proprietà. L'uso senza l'autorizzazione del proprietario del sistema è un reato (UU ITE, Computer Fraud and Abuse Act, ecc.). L'utente è l'unico responsabile.

📖 Riepilogo della vulnerabilità

CVE-2026-46300 è una vulnerabilità di Local Privilege Escalation (LPE) nel kernel Linux dovuta a una regressione in skb_try_coalesce() che provoca la corruzione della page-cache, sfruttata attraverso il sottosistema XFRM ESP-in-TCP (espintcp).

Questo repository contiene 2 componenti:

🏗 Flusso di lavoro

┌───────────────────────┐
│   fragnesia.sh        │
│   Audit 3 pemeriksaan │
└──────────┬────────────┘
           ▼
   CHECKS_TRIGGERED > 0 ?
   ┌──────┴───────┐
   │ Ya           │ Tidak → Selesai (target aman)
   ▼              │
   Cek fragnesia.c ada?
   ┌──────┴───────┐
   │ Ya           │ Tidak → instruksi, selesai
   ▼              │
   Konfirmasi user [y/N]
   ┌──────┴───────┐
   │ Ya           │ Tidak → batal, selesai
   ▼              │
   gcc -O2 -w fragnesia.c -o exp
   │
   ▼
   ./exp   ← eksekusi exploit

⚙️ Requisiti di sistema

Operatore (host su cui viene eseguito lo script):

• Linux (bash) — testato su Kali / Ubuntu / Debian
• gcc per la compilazione dell'exploit
• Accesso alla shell (locale/SSH) sul target

Target (per essere potenzialmente vulnerabile):

• Kernel affetto da CVE-2026-46300 (senza la patch di skb_try_coalesce())
• CONFIG_XFRM_ESPINTCP / CONFIG_INET_ESPINTCP attivi (=y/m)
• User namespace non privilegiati abilitati (kernel.unprivileged_userns_clone=1)
• Accesso locale come utente non root (per la validazione LPE)

📥 Installazione

# 1. Clone
git clone https://github.com/Kentox493/CVE-2026-46300_Fragnesia.git
cd CVE-2026-46300_Fragnesia

# 2. Pastikan script executable
chmod +x fragnesia.sh

# 3. (Opsional) Toolchain bila belum ada
sudo apt update && sudo apt install -y build-essential
# atau (RHEL/Fedora)
sudo dnf groupinstall "Development Tools"

🚀 Come usare

./fragnesia.sh

fragnesia.c e fragnesia.sh devono trovarsi nella stessa directory, poiché lo script cerca l'exploit in modo relativo.

Flusso interattivo

1. Lo script esegue automaticamente 3 controlli di audit.

2. Se vi sono indicazioni di vulnerabilità (CHECKS_TRIGGERED > 0), viene mostrato il prompt:

   root@kitploit:~

   [?] Target terdeteksi vulnerable (2/3). Lanjut kompilasi & eksekusi exploit? [y/N]:
   

3. Digitare y → lo script compila ed esegue automaticamente l'exploit.

4. Digitare qualsiasi altra cosa / Invio → l'esecuzione viene annullata, l'audit termina.

Bypass manuale (senza audit)

gcc -O2 -w fragnesia.c -o exp
./exp

🔍 Dettagli del Controllo di Audit

Step 1 — Verifica Host e Kernel

Verifica hostname + kernel attivo, poi controlla il changelog dei pacchetti del kernel della distro (apt-get changelog / rpm -q --changelog) per verificare la presenza della patch per CVE-2026-46300.

Step 2 — Configurazione dei Sottosistemi del Kernel (XFRM / ESP)

Controlla i flag ESP-in-TCP in /boot/config-$(uname -r) o /proc/config.gz. Fallback: rilevamento dei moduli XFRM/IPsec tramite /lib/modules/ o lsmod.

Step 3 — Prerequisito dell'Isolamento degli User Namespace

Controlla kernel.unprivileged_userns_clone (fallback: /proc/sys/user/max_user_namespaces).

Interpretazione del punteggio finale

💣 Fase di esecuzione dell'exploit

Questa fase si attiva solo se CHECKS_TRIGGERED > 0. Ciò che viene eseguito dallo script:

# 1. Verifikasi keberadaan fragnesia.c
# 2. Konfirmasi user (default: TIDAK / N)
# 3. Kompilasi exploit:
gcc -O2 -w fragnesia.c -o exp

# 4. Eksekusi:
./exp

Nota sulle flag di compilazione:

• -O2 — ottimizzazione livello 2 (fondamentale per la stabilità degli exploit basati su race/timing)
• -w — sopprime i warning (il sorgente dell'exploit è solitamente pieno di warning di int-conversion ecc.)

Gestione errori integrata nello script:

📸 Esempio di output

┌──────────────────────────────────────────────────────────────────┐
│  FRAGNESIA (CVE-2026-46300) - HOST VULNERABILITY AUDIT TOOL      │
│  Linux Kernel Page-Cache / XFRM espintcp Regression Inspector    │
└──────────────────────────────────────────────────────────────────┘

┌──[STEP 1] Host & Kernel Verification
│  [i] INFO        │ Hostname      : webserver-01
│  [i] INFO        │ Active Kernel : 6.8.0-45-generic
│  [!] VULNERABLE  │ Patch Changelog -> No security patch found for CVE-2026-46300
└──

┌──[STEP 2] Kernel Subsystems Configuration (XFRM / ESP)
│  [!] VULNERABLE  │ ESP-in-TCP Flag -> CONFIG_XFRM_ESPINTCP / CONFIG_INET_ESPINTCP active (=y/m)
└──

┌──[STEP 3] User Namespace Isolation Prerequisite
│  [!] VULNERABLE  │ User Namespaces -> Enabled (Allows unprivileged user to gain CAP_NET_ADMIN)
└──

┌──────────────────────────────────────────────────────────────────┐
│                       EXECUTIVE AUDIT SUMMARY                    │
└──────────────────────────────────────────────────────────────────┘
[!] AUDIT RESULT: CRITICAL - TARGET IS HIGHLY VULNERABLE
    Semua prasyarat rantai serangan (Kernel patch, ESP subsistem, dan Userns) terpenuhi.

┌──────────────────────────────────────────────────────────────────┐
│           OPSIONAL: EKSEKUSI EXPLOIT FRAGNESIA (LPE)             │
└──────────────────────────────────────────────────────────────────┘

[i] fragnesia.c ditemukan (18,432 bytes).

[?] Target terdeteksi vulnerable (3/3). Lanjut kompilasi & eksekusi exploit? [y/N]: y

┌──[STEP 4] Kompilasi & Eksekusi Exploit (fragnesia.c)
│  [i] INFO        : Toolchain: gcc (Ubuntu 13.2.0-23ubuntu4) 13.2.0
│  $ gcc -O2 -w fragnesia.c -o exp
│  [✓] Kompilasi berhasil -> ./exp
│  $ ./exp
│  [*] Fragnesia exploit running...
│  [*] Overwriting page cache...
│  [*] Got root! uid=0(root) gid=0(root)
└──

🛡 Rimedi (per il Blue Team)

1. Patch del kernel — aggiornare a una release che include la correzione di skb_try_coalesce() dal vendor della distro.
2. Disabilitare gli user namespace non privilegiati (temporaneo):
   root@kitploit:~

   sudo sysctl -w kernel.unprivileged_userns_clone=0
   

   Permanente: aggiungere a /etc/sysctl.conf.
3. Blacklistare i moduli ESP se il server non fornisce servizi VPN/IPsec:
   root@kitploit:~

   echo 'install esp4_offload /bin/true' | sudo tee /etc/modprobe.d/disable-esp.conf
   sudo update-initramfs -u
   

4. Rilevamento e hardening:
   • Monitorare strani binari chiamati exp / processi sospetti in /tmp
   • Limitare CAP_NET_ADMIN nei container e negli user namespace
   • Usare LSM (AppArmor/SELinux) per limitare la creazione di namespace

📁 Struttura del repository

CVE-2026-46300_Fragnesia/
├── fragnesia.sh     # Audit scanner + trigger eksekusi exploit (bash)
├── fragnesia.c      # Source exploit LPE (C)
└── README.md        # Dokumentasi ini

⚖️ Disclaimer e Licenza

Solo per uso legittimo. Questo strumento è pensato per:

• Professional penetration testing (contratto scritto)
• Ricerca sulla sicurezza e divulgazione responsabile
• Ambiente lab / CTF

È obbligatorio avere l'autorizzazione scritta del proprietario del sistema prima di eseguire questo strumento su qualsiasi infrastruttura.

Il repository è fornito "così com'è" senza alcuna garanzia. I contributori non sono responsabili per un uso improprio.

Licenza: MIT

📚 Riferimenti

• CVE-2026-46300 — NVD / MITRE
• Kernel skb_try_coalesce() — documentazione dello stack di rete
• CVE-2022-0185 — riferimento tecnico simile per LPE via page-cache